如何基于宿主域名限制iframe Cookie实现独立会话？

很棒的问题！先直接给结论：仅靠Cookie的domain字段无法实现这个需求，下面我会解释原因，再给你几个适配你场景的可行方案。

为什么domain字段做不到？ #

Cookie的domain属性只能绑定到设置它的域名（也就是你的myiframe.com），浏览器的同源策略会严格限制这一点——你没办法从myiframe.com把Cookie的domain设为a.com或b.com，这属于跨域操作，是不被允许的。所以domain字段根本没法帮你区分不同宿主站点的会话。

方案1：使用Partitioned Cookie属性（现代浏览器推荐） #

现在Chrome 89+、Edge 89+、Firefox 109+这些现代浏览器都支持Partitioned属性，它能让跨站Cookie按照**顶层站点（也就是你的宿主a.com/b.com）**进行分区存储。简单说就是，同一个sessionCookie名称，在a.com的iframe里和b.com的iframe里会被当成两个完全独立的Cookie来存，互相完全不干扰。

实现方式 #

当你在myiframe.com的服务端设置Cookie时，在Set-Cookie头里加上Partitioned属性，同时必须搭配SameSite=None和Secure（跨站Cookie必须有这两个属性才能被浏览器存储）：

Set-Cookie: session=你的唯一会话ID; Domain=myiframe.com; Path=/; SameSite=None; Secure; Partitioned; HttpOnly

用这个配置的话，浏览器会自动帮你处理会话隔离，你除了设置这个响应头之外，不需要额外做其他操作。

方案2：基于宿主标识的Cookie名称/路径（兼容旧浏览器） #

如果需要兼容不支持Partitioned的旧浏览器，你可以利用已经能可靠识别宿主的能力，做以下两种调整：

选项A：宿主专属的Cookie名称 #

这是兼容性最好的方案。根据识别到的宿主（比如a.com或b.com），生成带宿主标识的Cookie名称（注意把域名里的点换成连字符，避免非法字符）：

// 当宿主是a.com时
Set-Cookie: session_a-com=你的会话ID; Domain=myiframe.com; Path=/; SameSite=None; Secure; HttpOnly

// 当宿主是b.com时
Set-Cookie: session_b-com=你的会话ID; Domain=myiframe.com; Path=/; SameSite=None; Secure; HttpOnly

服务端处理请求时，先识别当前宿主，再读取对应的Cookie名称就能拿到专属会话了。

选项B：宿主专属的Cookie路径 #

如果不想改Cookie名称，可以给不同宿主分配不同的路径：

// 当宿主是a.com时
Set-Cookie: session=你的会话ID; Domain=myiframe.com; Path=/a-com/; SameSite=None; Secure; HttpOnly

// 当宿主是b.com时
Set-Cookie: session=你的会话ID; Domain=myiframe.com; Path=/b-com/; SameSite=None; Secure; HttpOnly

不过这种方式需要你调整myiframe.com的路由结构，确保不同宿主的iframe请求对应到各自的路径，服务端再根据路径读取对应的Cookie。

内容的提问来源于stack exchange，提问作者Alberto Casares